«Ключи от квартиры»: защищаемся от хакеров

1. Сменить пароли от всех соцсетей. Попросить от вашего имени денег у всех ваших друзей.
2. Изменить пароль от «Айклауда» или «Гугл-плея». Затем украсть у вас деньги или заблокировать смартфон.
3. Изучить переписки в соцсетях и по почте, из которых наверняка можно вытащить ваши паспортные данные и номер карты. А еще — девичью фамилию вашей матери.
4. Зная паспортные данные и номер карты — поменять пароль от интернет-банка, сменить контактный номер телефона и свободно распоряжаться всеми вашими деньгами.
5. Если достанет в почте скан паспорта — взять на ваше имя кредит в недобросовестной кредитной организации, и тогда к вам придут коллекторы.

И все это — из-за одного ненадежного пароля от почты.

Запомним:

• Очень важно, чтобы у электронной почты был надежный пароль.

Вряд ли вы хотите, чтобы дверь в вашу квартиру можно было открыть ключом из магазина «1 000 мелочей». Ну а если воры все же захотят взломать квартиру, на это у них должно уйти не пять минут, а час, чтобы успела приехать полиция.

С паролями так же: они защищают наши цифровые ценности. Поэтому лучше относиться к ним так же, как к ключам от квартиры: хотя бы сделать не такими, как у соседей.

Пароль не обязательно должен выглядеть так, словно вы ударились головой о клавиатуру. Но при этом длинный пароль гораздо безопаснее короткого. Набор символов Hfgw12! подобрать куда легче, чем DlinniyParol123. Семь символов компьютер хакера сможет взломать за несколько минут, а на десять уже уйдут годы.

Специалисты по безопасности считают, что надежный пароль содержит более 14 символов. Главное — чтобы пароль был уникальным, ведь password1234567890​ и mailru987654321​ хакеры проверят в первую очередь.

Придумать длинный и уникальный пароль довольно просто. Представьте свою любимую еду, место, музыку или книгу. Опишите это в нескольких словах, добавьте эпитет, напишите латиницей — и основа для пароля готова!

После того как придумаете пароль, представьте его в голове. Не сам набор символов, а то, что он описывает. Вспомните вкус пельмешек со сметанкой, какая же большая и крутая книга этот «Властелин колец» или как качает песня Numb группы Linkin Park.

Такие образы мозг запомнит лучше, чем буквы. Когда придет время вводить пароль, вы легко его вспомните, прокрутив образ в голове.

Еще один способ придумать надежную основу для пароля — это набирать фразу на русском языке при включенной английской раскладке. Например, «СчастьеВсемДаром» превратится в CCxfcnmtDct<vLfhjv. Только учтите, что такой пароль может быть неудобно набирать со смартфона: зачастую клавиатуры на телефонах не показывают одновременно русскую и английскую раскладки.

Запомним:

• Алгоритм создания надежного пароля: выберите фразу → создайте образ → получите пароль.

Представьте, что вы сказочно разбогатели и купили все квартиры в одном подъезде. Чтобы не носить с собой связку ключей, во всех дверях вы сделали одинаковый замок. А через неделю обнаружили, что все квартиры вскрыты: взломщикам было достаточно подобрать один ключ, а остальное — дело техники.

Так же и с паролями. Стоит хакеру получить ваш пароль от одного сервиса, как он попытается ввести его на всех других.

К сожалению, утечки баз данных с паролями время от времени случаются, особенно в небольших компаниях. Будет обидно, если хакеры украдут базу данных клиентов пиццерии, в которой вы делали заказ три года назад, и заодно получат пароль от вашей почты и соцсети.

Запомнить отдельный пароль для каждого сайта нереально. Но это и не требуется. Если вы придумали пароль в предыдущем разделе, то сможете его модифицировать с помощью простого алгоритма:

1. Добавьте в начало цифру, равную количеству букв после точки. Для сайта с доменом .ru это 2, для .com — 3, для .avia — 4 и так далее.
2. Напишите ваш пароль.
3. Добавьте в конец две буквы из названия сайта.

Можно усложнить алгоритм как угодно: писать цифры буквами, брать больше букв из имени сайта в определенном порядке и тому подобное. Все это сделает пароль еще сложнее и крепче.

Теперь для каждого сайта у вас уникальный пароль — хакеры так просто вас не взломают. Достаточно запомнить образ и алгоритм, а все остальное пусть не забивает голову. Вспомнить конкретный пароль можно будет, лишь взглянув на название сайта.

Запомним:

• Очень важно использовать уникальный пароль для каждого сайта.

Так как надежный пароль подобрать нереально, мошенники попытаются его украсть. Скажем, заманят на поддельный сайт и заставят там его ввести. Обычно в такой ситуации они рассчитывают на то, что вы будете невнимательны и вовремя не распознаете подделку. Но если взять на вооружение несколько простых методов, у них не останется и шанса похитить ваши данные.

Адрес сайта — один из главных ориентиров, по которому можно отличить настоящий ресурс от поддельного. Разберем, на что смотреть в первую очередь.

Смотрите на начало адреса — протокол. Если сайт начинается с HTTP, а не с HTTPS, соединение не защищено: вводить пароли, платежные данные и другую важную информацию нельзя.

Но и HTTPS не делает сайт автоматически надежным — он лишь означает, что данные между вами и сервером зашифрованы. Настроить такое шифрование могут и мошенники. Современные браузеры обычно предупреждают о небезопасном HTTP-соединении — можете проверить это на примере http://httpforever.com/.

Проверяйте домен второго уровня — это главное имя сайта. Адрес любого сайта состоит как минимум из трех частей: домена второго уровня, точки и домена верхнего уровня. Например, в tbank.ru tbank — это домен второго уровня, а ru — домен верхнего уровня.

Именно домен второго уровня чаще всего совпадает с названием компании или бренда — на него и нужно смотреть в первую очередь.

Обращайте внимание на домены третьего уровня. Слева от основного имени могут быть дополнительные слова через точку — это домены следующих уровней.

Без разрешения владельца домена второго уровня их создать нельзя: например, мошенники не смогут сделать poddelka.yandex.ru. Зато могут зарегистрировать отдельный домен poddelka.ru и создать внутри него сайт yandex.poddelka.ru — внешне похоже, но это уже другой сайт.

Не игнорируйте странные символы. Если в адресе вместо «e» стоит «ė», вместо «k» — «ķ», а вместо «с» — «ċ», это не случайность, а попытка замаскировать поддельный сайт под настоящий.

Проверяйте ссылки, даже если их прислали знакомые. Аккаунт могли взломать, а ссылка может вести на фишинговый сайт. Перед тем как вводить любые данные, внимательно прочитайте адрес целиком.

Это программы, которые запоминают и защищают пароли. Они хранят пароли в зашифрованном виде, так что даже разработчики их не видят. Если злоумышленник получит доступ к вашему устройству, он тоже не сможет их похитить: для расшифровки ему понадобится еще и мастер-пароль, а его знаете только вы сами.

Главная польза менеджеров в том, что они проверяют адрес сайта за вас. Если вы сохранили пароль для yandex.ru, то программа не предложит его заполнить на сайте yandex.com или yanbex.ru. Так что если вы не видите подсказки от менеджера — скорее всего, сайт поддельный.

В некоторые браузеры уже встроен менеджер паролей, например в «Сафари», «Яндекс Браузер» или «Гугл-хром». Если вы используете одну учетную запись на всех устройствах, браузеры синхронизируют ваши пароли. Если вы уже заходили на сайт с компьютера, то подсказка с паролем появится и на смартфоне.

Если вас не устраивают менеджеры паролей в браузере, можно скачать отдельные программы: попробуйте LastPass, Kaspersky Password Manager или 1Password.

Храните пароли только в менеджере или в голове. Не держите пароли на стикерах на мониторе. Не носите их в бумажнике. Не записывайте в заметки в телефоне. Иначе вся надежность пойдет насмарку.

Иногда эту функцию называют «подтверждение входа» или «дополнительная проверка».

Для входа в аккаунт помимо пароля нужно будет ввести случайно сгенерированный код. Даже если хакеры похитят пароль, они не смогут пройти дальше: для этого им придется похитить и ваш телефон. Подобрать код не получится: он меняется после каждой попытки ввода.

Обычно код отправляют в смс или через специальные приложения. «Телеграм» или «Вконтакте» пришлет код на другое устройство, на котором вы вошли, а «Джимейл» или «Яндекс» могут прислать его на запасную электронную почту.

Двухфакторную аутентификацию поддерживают все популярные почтовые сервисы, социальные сети и финансовые приложения. Зайдите в настройки, найдите этот пункт и включите его.

Чтобы получить доступ к вашему аккаунту, мошенникам не обязательно спрашивать ваш пароль. Они могут нажать кнопку «забыл пароль» на сайте, ввести вашу почту, а потом выманить у вас код или ссылку на восстановление пароля под различными предлогами.

После этого они поставят свой пароль, сменят почту и лишат вас доступа к аккаунту.

Если вор украдет смартфон, он переставит сим-карту в свое устройство, прочитает смс от сервисов и получит доступ к вашим данным и деньгам. А с пин-кодом у него ничего не выйдет: симка не будет работать, пока на телефоне не введут правильные четыре цифры. После нескольких неудачных попыток карта заблокируется.

Чтобы установить пин-код, надо сначала включить его в настройках телефона, а потом поменять с дефолтного на надежный. В Т⁠—⁠Ж есть подробная статья о том, как установить пин-код на сим-карту.

Некоторые мошенники поступают особо цинично. Например, звонят, представляются сотрудником службы безопасности и говорят, что от вас нужен код из смс или письма. Но так как сказать код просят только мошенники, сообщать его не нужно: для этого вас якобы переключат на голосового помощника. Бездушной машине сказать код уже можно, она же не мошенник.

На самом деле ни на какого робота вас не переключат: мошенники могут включить какие-то звуки для имитации голосового помощника, но останутся на линии и услышат, как вы диктуете код.

Эта схема работает не только с двухфакторной аутентификацией, но и с кодами для подтверждения покупок в интернете. Будьте внимательны и не забывайте про прием «взять паузу» в таких случаях.

Запомним:

• Установите менеджер паролей.
• Обязательно включите двухфакторную аутентификацию.
• Не говорите коды и пароли никому, даже роботам, нейросетям и голосовым помощникам.

Если хочется максимально прокачать свою безопасность в сети, одного урока мало: сегодня мошенники используют нейросети, дипфейки, вирусы и сложные фишинговые схемы. В этом курсе мы разобрали базу, а погрузиться в тему глубже вы можете в бесплатном курсе Учебника Т⁠—⁠Ж «Безопасность в интернете».

Чтобы материал этого урока всегда был под рукой, скачайте памятку в формате PDF⁠ на свое устройство или отправьте себе в телеграм-сообщении.

1. Охраняйте ваши пароли так, словно это ключи от квартиры.
2. В первую очередь защитите электронную почту.
3. Используйте уникальный пароль для каждого сайта.
4. Запомнить пароль поможет яркий образ и алгоритм.
5. Держите пароль только в голове или менеджере паролей.
6. Просят ввести пароль — проверьте адрес сайта.
7. Используйте двухфакторную аутентификацию.

Мы разобрались с негодяями, которые крадут наши пароли и деньги втихую. Пришло время перейти на следующий уровень: научиться вычислять мошенников, которые не прячутся, а открыто рекламируют свои «услуги».

В следующем уроке мы разберемся, как оценивать предложения вложиться или сэкономить и обходить стороной подозрительные сделки.